事例・2023年
MOVEit Transfer の脆弱性の大規模悪用
MOVEit Transfer の脆弱性の大規模悪用（英語名 MOVEit Transfer mass exploitation (CVE-2023-34362)）は、ソフトウェア (ファイル転送製品) とその利用組織で起きた事例です。侵入口、決定的な失敗、被害の順に、公表資料の記載だけで図にしました。
- 更新
- 供給網
- 委託
要点
- 侵入口 インターネットに公開された MOVEit Transfer のウェブアプリの未知の SQL インジェクション (CVE-2023-34362) を突かれ、LEMURLOOT というウェブシェルを置かれた
- 決定的な失敗 外部に公開したファイル転送製品に修正前の脆弱性 (ゼロデイ) があり、ウェブシェル経由で下のデータベースからデータを持ち出された
- 被害 多数の MOVEit Transfer 利用組織でデータベースのデータが窃取された。
攻撃の道筋
入口から、決定的な失敗を経て、被害に至るまで。図の番号は下の説明と対応します。図の文言は事例の記録からの引用です。
- 1侵入口MOVEit Transfer
インターネットに公開された MOVEit Transfer のウェブアプリの未知の SQL インジェクション (CVE-2023-34362) を突かれ、LEMURLOOT というウェブシェルを置かれた。
- 2決定的な失敗ウェブシェル
インターネットに公開された MOVEit Transfer のウェブアプリの未知の SQL インジェクション (CVE-2023-34362) を突かれ、LEMURLOOT というウェブシェルを置かれた。
- 3決定的な失敗データベース
外部に公開したファイル転送製品に修正前の脆弱性 (ゼロデイ) があり、ウェブシェル経由で下のデータベースからデータを持ち出された。
- 4被害利用組織
多数の MOVEit Transfer 利用組織でデータベースのデータが窃取された。
- 1侵入口MOVEit Transfer
インターネットに公開された MOVEit Transfer のウェブアプリの未知の SQL インジェクション (CVE-2023-34362) を突かれ、LEMURLOOT というウェブシェルを置かれた。
- 2決定的な失敗ウェブシェル
インターネットに公開された MOVEit Transfer のウェブアプリの未知の SQL インジェクション (CVE-2023-34362) を突かれ、LEMURLOOT というウェブシェルを置かれた。
- 3決定的な失敗データベース
外部に公開したファイル転送製品に修正前の脆弱性 (ゼロデイ) があり、ウェブシェル経由で下のデータベースからデータを持ち出された。
- 4被害利用組織
多数の MOVEit Transfer 利用組織でデータベースのデータが窃取された。
被害
多数の MOVEit Transfer 利用組織でデータベースのデータが窃取された。Progress は政府の照会、法執行機関の捜査、訴訟が起きたと開示した
決定的な失敗
- 1外部に公開したファイル転送製品に修正前の脆弱性 (ゼロデイ) があり、ウェブシェル経由で下のデータベースからデータを持ち出された。
経過
2023年5月27日から11日間の記録。軸は日数の平方根で縮めています。
- 2023.05.270日目
公開情報によるとこの日から未知の SQL インジェクションの悪用が始まった (CISA と FBI の注意喚起による)
- 2023.05.281日目
Progress の MOVEit サポートに、顧客から異常な動きの連絡が入った
- 2023.05.303日目
Progress の調査チームがゼロデイの脆弱性を発見し、MOVEit Cloud を停止した
- 2023.05.314日目
Progress が全サポート版の修正を出し、同日 MOVEit Cloud を復旧した。ベンダーの勧告の日付を本件の公表日とする
- 2023.06.026日目
CISA が悪用済み脆弱性の一覧に CVE-2023-34362 を加えた
- 2023.06.0711日目
CISA と FBI が共同の注意喚起 AA23-158A を出した
防げた手立て
番号は攻撃の道筋の図と対応します。
-
外部公開資産の棚卸し
効く場所 1 -
緊急パッチの即時適用
効く場所 1 -
ウェブシェルの検知
効く場所 2 -
転送サーバー上のデータ保持期間の短縮
効く場所 3
関係するページ
手口、グループ、事例のつながりは、収録データの記録だけから引いています。
関係する手口
関係するグループ
出典
- Progress Software Form 10-Q (quarter ended May 31, 2023) Progress Software (SEC 提出書類)
- AA23-158A #StopRansomware：CL0P Ransomware Gang Exploits CVE-2023-34362 MOVEit Vulnerability CISA, FBI・2023-06-07
- CVE-2023-34362 (NVD) NIST NVD・2023-06-02
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）